AI Act i obowiązki polskiej firmy krok po kroku

Firma jest użytkownikiem, nie dostawcą, i to zmienia wszystko

Rozporządzenie rozdziela role. Dostawca to podmiot, który wprowadza system AI na rynek. Użytkownik, w języku aktu podmiot stosujący, to firma, która używa gotowego narzędzia we własnej działalności. Prawie każda polska firma jest użytkownikiem.

Ta różnica ma znaczenie praktyczne. Obowiązki dokumentacji technicznej modelu, oceny zgodności i oznaczenia produktu leżą po stronie dostawcy. Po stronie firmy zostaje coś innego, ale wcale nie mniejszego: odpowiedzialność za to, do czego narzędzie zostało użyte, i za to, czy ludzie w firmie wiedzą, jak z niego korzystać.

Krok pierwszy. Spis tego, co naprawdę działa w firmie

W praktyce w każdej organizacji działa więcej narzędzi AI, niż wie o tym zarząd. Handlowcy używają asystenta w przeglądarce, marketing generuje grafiki, ktoś w księgowości przetestował odczyt faktur, a dział obsługi wdrożył czat na stronie. To wszystko są zastosowania objęte rozporządzeniem.

Spis nie musi być skomplikowany. Wystarczy tabela z czterema kolumnami: narzędzie, kto używa, do jakiego procesu, jakie dane tam trafiają. Ta ostatnia kolumna jest najważniejsza i najczęściej ujawnia problem, o którym nikt nie wiedział.

Krok drugi. Przypisanie kategorii ryzyka

Rozporządzenie ocenia zastosowanie, nie technologię. Ten sam model językowy przy generowaniu opisu produktu jest zastosowaniem o minimalnym ryzyku, a przy ocenie kandydata do pracy staje się systemem wysokiego ryzyka.

Dla większości procesów w firmach średniej wielkości odpowiedź będzie brzmiała: ryzyko minimalne albo ograniczone. Dwa obszary wymagają jednak uwagi, bo pojawiają się często i wpadają do kategorii wysokiego ryzyka: rekrutacja i ocena pracowników oraz automatyczna ocena klientów decydująca o dostępie do usługi.

Krok trzeci. Trzy obowiązki, które dotyczą prawie każdego

• Przejrzystość wobec ludzi: klient rozmawiający z systemem AI musi o tym wiedzieć, a treść wygenerowana maszynowo w części zastosowań wymaga oznaczenia.
• Kompetencje zespołu: organizacja musi zapewnić odpowiedni poziom wiedzy osobom korzystającym z systemów AI. Udokumentowane szkolenie jest najprostszym sposobem wykazania tego obowiązku.
• Nadzór człowieka tam, gdzie decyzja dotyka sytuacji osoby fizycznej. Automat, który samodzielnie odrzuca kandydata albo odmawia usługi, jest problemem niezależnie od jakości modelu.

Czego AI Act nie robi

Nie zastępuje RODO. To dwa niezależne akty i firma musi spełnić oba. RODO reguluje przetwarzanie danych osobowych, AI Act reguluje zastosowanie systemu AI, także wtedy, gdy danych osobowych w ogóle nie ma. Więcej o tej drugiej warstwie piszemy w tekście o RODO i sztucznej inteligencji.

Nie zakazuje też korzystania z narzędzi amerykańskich ani nie wymusza przetwarzania danych w Unii. To wymóg wynikający z RODO i z umów, nie z tego rozporządzenia. Mieszanie tych dwóch spraw prowadzi do decyzji zakupowych podejmowanych z niewłaściwych powodów.

Od czego zacząć w praktyce

Od tabeli, o której była mowa wyżej, i od rozmowy z osobami, które najczęściej pracują z tekstem: obsługą klienta, administracją i marketingiem. Zwykle po godzinie wiadomo, co w firmie działa, co jest ryzykowne i co wymaga spisania zasad.

Jeżeli któryś z procesów wchodzi w obszar rekrutacji albo oceny klientów, to jest moment na rozmowę z prawnikiem, a nie z dostawcą narzędzia. W pozostałych przypadkach wystarczy spisany dokument zasad korzystania i krótkie szkolenie zespołu.